Śledzenie, pliki cookie i fingerprinting

Witryny korzystają z wielu mechanizmów śledzenia użytkowników między sesjami i witrynami: plików cookie, pamięci lokalnej, pikseli śledzących i odcisku palca przeglądarki. Dane te są wykorzystywane do celów reklamowych, analitycznych, a czasami także do złośliwego profilowania.

Ciasteczka własne są ustawiane przez odwiedzaną witrynę. Przechowują stan sesji, preferencje i tokeny uwierzytelniania. Zasadniczo są niezbędne do działania witryn i uznaje się je za dopuszczalne.

Ciasteczka stron trzecich są ustawiane przez domeny inne niż odwiedzana witryna — zazwyczaj przez sieci reklamowe, dostawców usług analitycznych lub widżety mediów społecznościowych. Śledzą użytkownika na każdej witrynie, która zawiera ich zasoby.

Najważniejsze przeglądarki stopniowo wycofują obsługę ciasteczek stron trzecich.

Ważne atrybuty bezpieczeństwa plików cookie:

• HttpOnly — uniemożliwia dostęp z poziomu JavaScriptu (ochrona przed XSS)
• Secure — są wysyłane wyłącznie przez HTTPS
• SameSite=Strict/Lax — zapobiega atakom CSRF
• Max-Age/Expires — ogranicza czas trwania sesji

Piksel śledzący to przezroczysty obraz o rozmiarze 1x1 osadzony w wiadomościach e-mail lub na stronach internetowych. Po wczytaniu wysyła adres IP użytkownika i czas wczytania do narzędzia śledzącego. Klienci poczty e-mail, którzy automatycznie wczytują obrazy, ujawniają, kiedy i skąd otwarto wiadomości.

Web API, takie jak localStorage i sessionStorage, umożliwiają witrynom przechowywanie danych w przeglądarce. W przeciwieństwie do plików cookie dane te nie są automatycznie wysyłane do serwera i mogą przechowywać większą ilość informacji. Pozostają dostępne po zamknięciu przeglądarki (localStorage) aż do ich jawnego usunięcia.

Odcisk palca przeglądarki identyfikuje użytkowników bez użycia plików cookie, łącząc unikatowe cechy przeglądarki:

• User-agent string
• Rozdzielczość ekranu i głębia kolorów
• Zainstalowane czcionki i wtyczki
• Wynik renderowania Canvas i WebGL
• Ustawienia strefy czasowej i języka

Każda kombinacja jest bardzo unikatowa — często bardziej niezawodna niż pliki cookie.

Odcisk palca Canvas polega na rysowaniu ukrytej grafiki w elemencie canvas HTML. Różne kombinacje GPU i sterowników renderują tekst w nieco odmienny sposób. Skrót danych pikseli jednoznacznie identyfikuje urządzenie bez ustawiania jakichkolwiek plików cookie.

Środki ochrony przed śledzeniem:

• Używanie przeglądarki Firefox z funkcją Enhanced Tracking Protection
• uBlock Origin z listami blokowania modułów śledzących
• Privacy Badger do blokowania opartego na uczeniu się
• Tor Browser zapewniający maksymalną anonimowość
• Wyłączenie JavaScriptu na wrażliwych witrynach (blokuje odcisk palca przeglądarki)

Tor Browser ujednolica wszystkie wartości używane do odcisku palca przeglądarki — wszyscy użytkownicy wyglądają tak samo. Przekierowuje również ruch przez trzy węzły, ukrywając adres IP użytkownika. Kompromis: znaczny spadek wydajności, a niektóre witryny blokują węzły wyjściowe sieci Tor.

RODO (UE) i dyrektywa ePrivacy wymagają uzyskania zgody przed umieszczeniem niekoniecznych plików cookie. Stąd biorą się banery dotyczące plików cookie. Pomimo ich obecności egzekwowanie przepisów jest niespójne, a wiele witryn stosuje manipulacyjne wzorce, aby nakłonić użytkowników do zaakceptowania wszystkich plików cookie.

Jaka technika identyfikuje użytkowników poprzez połączenie unikatowych właściwości przeglądarki, takich jak wynik renderowania GPU i zainstalowane czcionki, bez ustawiania jakichkolwiek plików cookie?

Witryny śledzą użytkowników za pomocą ciasteczek własnych i ciasteczek stron trzecich, pikseli śledzących, localStorage oraz odcisku palca przeglądarki. Odcisk palca przeglądarki jest szczególnie trwały — nie wymaga plików cookie i przetrwa wyczyszczenie pamięci podręcznej. Ochronę zapewniają między innymi ETP (Firefox), uBlock Origin, Privacy Badger oraz Tor Browser w sytuacjach wymagających wysokiego poziomu prywatności.